DIVISION DE LYON 
 Lyon, le 13/07/2017 N/Réf. : CODEP-LYO-2017-028542 Monsieur le Directeur du centre nucléaire de production d'électricité du Bugey Electricité de France CNPE du Bugey BP 60120 01155 LAGNIEU Cedex Objet : Contrôle des installations nucléaires de base Centrale nucléaire du Bugey (INB n° 78) Inspection INSSN-LYO-2017-0789 du 2 juillet 2017 Thème : « R.9 Autre thème, inspection suite à événement » Référence à rappeler dans vos correspondances : INSSN-LYO-2017-0789 Référence : Code de l'environnement, notamment l'article L. 596-1 et suivants Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu au code de l'environnement, à l'article L 596-1 et suivants, une inspection réactive a eu lieu le 3 juillet 2017 sur la centrale nucléaire du Bugey à la suite du déclenchement du plan d'urgence interne de votre établissement le 29 juin 2017. J'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthèse De L'Inspection

L'inspection réactive menée sur la centrale nucléaire du Bugey le 3 juillet 2017 portait sur l'événement survenu sur le réacteur 2 de cette centrale et qui a conduit EDF à déclencher son plan d'urgence interne de 11h00 à 18h00. Les inspecteurs ont examiné le pilotage du réacteur par les équipes de conduite, la gestion du plan d'urgence interne, les actions de maintenance menées sur une vanne défaillante qui est à l'origine de l'événement, ainsi que la bonne prise en compte du retour d'expérience d'un événement similaire intervenu en 2013 sur le réacteur 5 de la centrale nucléaire du Bugey. Il ressort de cette inspection qu'EDF a globalement bien piloté et géré l'aléa technique survenu sur le réacteur 2 alors que celui-ci était dans une phase de mise à l'arrêt. EDF devra maintenant déterminer de manière certaine les causes techniques à l'origine de la défaillance d'une vanne installée sur le circuit de contrôle volumétrique et chimique pour s'assurer de la pleine disponibilité de cet équipement qui sera utilisé lors des opérations de redémarrage. Cet événement n'a fait ni victime ni blessé. 

## Éléments De Contexte

Sur les réacteurs à eau pressurisée exploités par EDF, le contrôle chimique et volumétrique de l'eau du circuit primaire est assuré en soutirant en permanence de l'eau de ce circuit par une fonction dite de décharge exercée par une ligne piquée sur une branche en U de la chaudière nucléaire. Le fluide ainsi soutiré est dirigé vers un réservoir de titrage et une station de purification. Pour compenser l'eau soutirée par la ligne de décharge, de l'eau primaire, régénérée et titrée selon les spécifications radiochimiques et chimique applicables, est en permanence réinjectée dans le circuit primaire au niveau de la chaudière ainsi que dans les trois joints des pompes primaires : ce sont les fonctions de charge et d'injection aux joints des pompes primaires (IJPP). La charge, la décharge, l'IJPP et de traitement de l'eau primaire sont assurés par le circuit de contrôle volumétrique et chimique (RCV). Sur les réacteurs de la centrale nucléaire du Bugey, c'est la vanne repérée RCV 013 VP qui régule le débit prélevé au circuit primaire. Cette vanne est repérée 2 RCV 013 VP, 3 RCV 013 VP, 4 RCV 013 VP ou 5 RCV 013 VP selon qu'il s'agisse de l'organe du réacteur 2, 3, 4 ou 5. Le réacteur 2 de la centrale nucléaire du Bugey est à l'arrêt pour maintenance programmée et renouvellement partiel de son combustible depuis le 24 juin 2017. Dans le cadre des opérations de mise à l'arrêt, ce réacteur était dans le domaine d'exploitation « arrêt normal sur le circuit de refroidissement à l'arrêt » (AN/RRA) le 29 juin 2017. Dans ce domaine, l'eau du circuit primaire est totalement liquide : il n'existe plus de phase vapeur dans le pressuriseur et c'est la vanne repérée 2 RCV 013 VP qui régule directement la pression du circuit primaire. Le 29 juin 2017, au moment de la survenue de l'événement, le circuit primaire du réacteur 2 était à une température de 35 °C et à une pression de 20 bar. Le 29 juin 2017, à 10h18, la vanne 2 RCV 013 VP, qui était ouverte à environ 40 % de sa capacité, s'était fermée totalement et de manière intempestive : en l'absence de décharge et alors que la charge s'effectue toujours via l'IJPP, un pic de pression est apparu dans le circuit primaire. Ce pic a été écrêté par plusieurs ouvertures et fermetures des soupapes du circuit de refroidissement à l'arrêt (RRA). Les àcoups de pression générés ont déclenché en salle de commande l'apparition de l'alarme « D » repérée 2 RRA 413 AA : le label « D » signifie que les opérateurs doivent appliquer le document d'orientation et de stabilisation (DOS) qui appartient aux procédures conduite incidentelles et accidentelles. En application du DOS, les opérateurs sont rapidement orientés vers l'application d'une consigne plus précise référencée ECPR2. En application de la consigne ECPR2, le chef d'exploitation a constaté que la pression du circuit primaire s'était élevée dans un contexte où la marge à la saturation était grande1 : les critères fixés par la procédure ECPR2 pour déclencher le plan d'urgence interne (PUI) de la centrale nucléaire du Bugey ont été atteints et il en a informé l'agent exerçant la fonction d'astreinte direction de la centrale (PCD1). L'agent exerçant l'astreinte PCD1 a déclenché le PUI de la centrale nucléaire du Bugey à 11h05. Le déclenchement du PUI a conduit à regrouper puis à évacuer le personnel de la centrale qui n'est pas indispensable pour gérer l'événement affectant le réacteur 2 ni pour piloter les autres installations. Les personnes d'astreinte, alertées au moyen de beepers ou de téléphones portables, ont rejoint quant à elle des locaux dits de gestion de crise. 

1 La marge à la saturation, dite delta Tsat, représente la différence entre la température réelle de l'eau dans le circuit primaire et la température d'ébullition à pression constante de cette eau. 

En salle de commande, avec l'aide de l'équipe locale de crise, les équipes de conduite ont poursuivi l'application de la consigne ECPR2. Constatant l'indisponibilité de la décharge en raison du blocage en position fermée de la vanne 2 RCV 013 VP et la poursuite d'une charge réduite par l'IJPP, les équipes de conduite ont mis en service la fonction dite de soutirage excédentaire qui permet de rétablir un prélèvement d'eau continu depuis le circuit primaire : cette mise en service rétablit un équilibre entre l'eau injectée en permanence dans le circuit primaire via l'IJPP et celle désormais prélevée via le circuit dit de soutirage excédentaire. La stratégie de conduite fixée par l'application de la consigne ECPR2 a alors consisté à régler le débit du soutirage excédentaire à un niveau supérieur à celui de l'IJPP pour dépressuriser le circuit primaire par extraction d'eau. Le niveau de pression et de température visé était celui correspondant au domaine d'exploitation « arrêt pour intervention » : une fois ces conditions atteintes, le pilotage du réacteur selon des consignes incidentelles et accidentelles pouvait être suspendu pour rebasculer vers un pilotage standard (selon les spécifications techniques d'exploitation). L'application de la consigne ECPR2 a permis de dépressuriser le circuit primaire : vers 16h45 la pression du circuit primaire a été ramenée à 2,5 bar, ce qui constituait le critère pour basculer vers la procédure ECPR1. L'application de la consigne ECPR1 a permis de stabiliser la pression du circuit primaire et de rentrer dans le domaine normal de fonctionnement du réacteur. A 17h50, la centrale nucléaire du Bugey a établi un plan de résolution de l'ensemble des aspects matériels permettant de revenir dans un mode de pilotage normal du réacteur. A 18h05, le plan d'urgence interne a été levé après accord de l'Autorité de sûreté nucléaire (ASN). Un événement similaire s'était déjà produit sur le réacteur 5 de la centrale nucléaire du Bugey le 2 août 2013 et avait fait l'objet d'une inspection donc la lettre de suite est disponible sur le site Internet de l'ASN2. Il apparaît toutefois que les causes de la défaillance de la vanne repérée 5 RCV 013 VP sur le réacteur 5 en 2013 et celle de la vanne repérée 2 RCV 013 VP sur le réacteur 2 en 2017 sont différentes. Enfin, le plan d'urgence interne de la centrale nucléaire du Bugey a déjà été activé le 19 juin 2017 pour une situation de feu confirmé dans une zone contrôlée de l'établissement : ce PUI était lié à un incendie survenu en toiture du bâtiment des auxiliaires nucléaires du réacteur 5 à l'occasion d'une opération de réfection de l'étanchéité. Ces deux situations (PUI du 19 juin 2017 et PUI du 29 juin 2017) n'ont pas de relation de cause à effet. 

�

## A. Demandes D'Actions Correctives

L'application de la consigne ECPR2 a conduit les équipes de conduite du réacteur dans la séquence 9b de cette procédure. Cette séquence les a amenés à appliquer la stratégie dite de « dépressurisation par défaut de masse » (c'est-à-dire à baisser la pression du circuit primaire en soutirant davantage d'eau que n'en injecte l'IJPP). Le cheminement appliqué aboutit, sur constat d'une delta Tsat supérieure à 140 °C, à « ouvrir une ligne de décharge pressuriseur pour ramener la delta Tsat inférieure à 140 °C ». Selon les éléments fournis par vos représentants lors de l'inspection du 3 juillet 2017 : 
- cette action serait très brusque puisqu'elle conduit à ouvrir le train de soupapes du pressuriseur assurant la fonction de décharge ; 
- cette action n'a pas été mise en œuvre lors de l'événement rencontré sur le réacteur 2 le 29 juin 2017 ; 
- il semblerait que cette question se soit déjà posée lors de l'événement rencontré sur le réacteur 5 le 2 août 2013. 

## Demande A1 : Je Vous Demande :

- de me confirmer que la bonne application de la procédure ECPR2 a conduit les équipes de conduite sur la boucle de test de la séquence 9b figurant en bas de la stratégie de « dépressurisation par défaut de masse » ; 
- de me confirmer que l'action demandée dans le cas de figure où la delta Tsat est supérieure à 140 °C et ainsi libellée « Ouvrir une ligne de décharge pressuriseur pour ramener la delta Tsat inférieure à 140 °C » correspond effectivement à l'action d'ouvrir le premier train des soupapes du pressuriseur ; 
- de m'indiquer les raisons pour lesquelles cette action n'a pas été engagée le 29 juin 2017 et quelle a été la validation de cette non-application de la consigne ; 
- sur la base du retour d'expérience de l'application de la consigne ERCP2 en 2013 et le 29 juin 2017, de revoir le caractère adéquat de cette disposition de la consigne, en liaison avec le centre d'ingénierie d'EDF en charge de sa rédaction. 

L'application de la consigne ERCP2 a conduit les équipes de conduite à appliquer la séquence 5rc. Au fil des différents tests, la sortie de la consigne ERCP2 et la réorientation vers ERCP1 se faisait par vérification que la pression était inférieure à 2,5 bar et que la température lue sur le système d'instrumention interne du cœur (RIC) est inférieure à 60 °C. Pour permettre d'atteindre le critère de pression de 2,5 bar, le débit de la charge via l'IJPP dans le circuit primaire a été réglé sur un talon minimal pour réduire le volume d'eau injecté dans le circuit primaire tout en garantissant un barrage d'eau efficace au joint n° 1 des pompes primaires3. 

Cependant, pour une pression primaire qui se situe en-deçà de 5 bar de pression, le débit de la décharge réalisée via le soutirage excédentaire n'était plus suffisant pour compenser effectivement la charge de l'IJPP et pour permettre l'atteinte du critère de 2,5 dans un délai relativement court (et en tout état de cause permettant de garantir une réserve d'eau suffisante dans le réservoir du circuit PTR dans laquelle l'eau de l'IJPP est puisée). Vos équipes de gestion de crise ont donc proposé de modifier l'application de la consigne ERCP2 pour décharger l'eau du circuit primaire par la ligne de by-pass de la vanne 2 RCV 013 VP : le lignage proposé consistait à décharger le circuit primaire via la vanne repérée 2 RCV 202 VP (la décharge étant, dans ce cas, régulée par la vanne 2 RCV 310 VP). Cette proposition a été acceptée par l'ASN après analyse de son appui technique l'IRSN. Il semble que cette adaptation ait déjà été identifiée comme nécessaire lors de l'événement survenu en 2013 sur le réacteur 2. Par ailleurs, l'origine du critère de 2,5 bar imposé par la consigne ECPR2 pour considérer la dépressurisation du circuit primaire comme acquise n'apparaît pas comme claire aux équipes d'EDF puisque le domaine d'exploitation « arrêt pour intervention » (qui était visé) est considéré comme atteint en-deça d'une pression primaire dans le circuit primaire de 5 bar. Demande A2 : Je vous demande de tirer, en liaison avec le centre d'ingénierie d'EDF en charge de la rédaction des consignes de conduite accidentelle, le retour d'expérience de l'application de la consigne de conduite ECPR2 vis-à-vis : 
- du critère de pression de 2,5 bar autorisant la réorientation vers ECPR1 ; - de l'utilisation du lignage consistant à décharger le circuit primaire via la vanne repérée 2 RCV 202 VP (la décharge étant dans ce cas de figure régulée par la vanne 2 RCV 310 VP) pour permettre d'atteindre le critère de 2,5 bar fixé par la consigne ECPR2 dans un contexte où la charge d'IJPP est réglée sur son débit minimal technologique. Les inspecteurs ont contrôlé si le retour d'expérience du dysfonctionnement observé le 2 août 2013 sur la vanne repérée 2 RCV 013 VP avait été pris en compte sur la vanne repérée 5 RCV 013 VP, notamment pour vérifier que la défaillance observée le 29 juin 2017 n'était pas une répétition à l'identique de la défaillance observée en août 2013. Les inspecteurs ont contrôlé la maintenance de toute la fonction de régulation de la pression primaire dans le domaine de fonctionnement AN/RRA, à savoir : 
- le contrôle commande de la vanne repérée 2 RCV 013 VP ; - le positionneur de la vanne repérée 2 RCV 013 VP ; - l'actionneur de la vanne repérée 2 RCV 013 VP ; - la vanne elle-même. 

Les inspecteurs ont vérifié que les actions correctives du compte-rendu de l'événement significatif déclaré en 2013 par la centrale nucléaire du Bugey et consignées dans le document référencé D5110/LET/MSQ/13.01758 du 10 octobre 2013 avaient été effectivement mises en œuvre par la centrale nucléaire du Bugey. 

Ils ont également vérifié que les engagements pris par EDF en réponse à la lettre de suite référencée CODEP-LYO-2013-048900 datée du 22 août 2013 de l'inspection menée le 7 août 2013 avaient été respectés (engagements pris dans le courrier référencé D5110/LET/MSQ/13.01777 du 28 octobre 2013). Il ressort de ces vérifications que : 
- l'incident de 2013 sur la vanne repérée 5 RCV 013 VP était purement mécanique et affectait le positionneur de la vanne ; 
- les vérifications menées par EDF le 29 juin 2017 sur la vanne repérée 2 RCV 013 VP ont permis de lever tout doute sur le fait que la défaillance relevée en 2013 n'était pas en train de se reproduire ; 
- la technologie des positionneurs a évolué en raison de l'obsolescence. Un positionneur de nouvelle génération a bien été installé sur la vanne repérée 2 RCV 013 VP. 

Pour expliquer la défaillance survenue sur la vanne repérée 2 RCV 013 VP le 29 juin 2017, vous privilégiez actuellement une défaillance du contrôle commande : cependant, à ce stade, vous ne disposez que d'hypothèses sur les causes du dysfonctionnement. L'ASN considère qu'EDF doit avoir déterminé de manière certaine l'origine de la défaillance observée sur la vanne repérée 2 RCV 013 VP le 29 juin 2017 et avoir pris les mesures correctives nécessaires avant d'envisager un nouveau passage du réacteur dans le domaine AN/RRA dans le cadre des opérations de redémarrage du réacteur 2 à l'issue de son arrêt pour maintenance actuel. Demande A3 : Je vous demande de mettre un point d'arrêt sur ce sujet dans votre processus interne, et notamment lors de la commission sûreté d'arrêt de tranche qui se tiendra avant le passage du réacteur en AN/RRA lors des opérations de redémarrage. Je vous demande de me confirmer ce point d'ici le 20 juillet 2017. L'ouverture automatique des soupapes du circuit RRA a permis de limiter la pression dans la chaudière nucléaire à la suite de la fermeture intempestive de la vanne 2 RCV 013 VP. Demande A4 : Je vous demande de me décrire la liste des opérations de requalification menées sur les équipements sous pression nucléaires ainsi que leurs accessoires de sécurité concernés par le transitoire subi par la chaudière nucléaire le 29 juin 2017. Ce programme portera également sur les piquages sensibles du circuit RRA. Je vous demande de me communiquer ces éléments d'ici le 20 juillet 2017. 

## � B. Compléments D'Information

Au début de l'événement, l'étanchéité de l'enceinte de confinement était grevée par trois activités : 
- un sas était ouvert sous couvert d'une prescription particulière des spécifications techniques d'exploitation. C'est d'ailleurs ce sas qui a été utilisé pour évacuer le personnel présent dans le bâtiment réacteur ; 
- un test d'étanchéité d'une traversée de l'enceinte était en cours ; - la ventilation du bâtiment réacteur était assurée par le système EBA, dont les rejets sont effectués à la cheminée du bâtiment des auxiliaires nucléaires. 

L'équipe locale de crise (ELC) a identifié ces faiblesses dans son diagnostic réalisé sur les trois barrières de confinement (gaine du combustible, circuit primaire et enceinte). Les actions nécessaires à la fermeture de ces contournements possibles de l'enceinte de confinement ont été engagées rapidement par la filière des analyses de l'ELC : 
- le sas a été refermé dès la fin de l'évacuation du bâtiment réacteur ; - il a été demandé au chargé de travaux de refermer les vannes manuelles liées au test de traversée de l'enceinte, ce qui a été fait ; 
- le système EBA a été isolé à 14h26. 

Les inspecteurs relèvent cependant que le cheminement suivi le 29 juin 2017 dans la procédure ECPR2 ne prévoit pas de vérifier l'intégrité de l'enceinte de confinement. Demande B1 : Je vous demande de vérifier, en liaison avec le service d'ingénierie d'EDF qui a en charge la rédaction des consignes incidentelles et accidentelles, si le fait que la procédure ECPR2 ne prévoit pas de vérifier l'intégrité de l'enceinte de confinement est conforme aux doctrines qui encadrent la rédaction des procédures de conduite accidentelle et incidentelle. Les inspecteurs ont contrôlé les conditions dans lesquelles l'agent exerçant l'astreinte PCD1 a lancé le plan d'urgence interne (PUI). Il apparaît de ce point de vue que l'action de déclenchement d'un PUI en situation réelle (c'est-à-dire hors cas d'exercice) est un geste rare qui peut amener une certaine tension pour la personne en charge de ce déclenchement. 

7 Demande B2 : Je vous demande de tirer le retour d'expérience des conditions dans lesquelles les PUI des 19 juin 2017 et 29 juin 2017 ont été activés par les agents assurant l'astreinte PCD1. Demande B3 : Je vous de m'informer sur les moyens de formation mis en œuvre auprès des cinq directeurs délégués tournant dans l'astreinte PCD1 pour leur rappeler les critères de déclenchement et les vérifications à mener, notamment pour ce qui concerne le déclenchement du plan particulier d'intervention (PPI) en phase réflexe. 

�
C. Observations Sans objet. 

�
Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois, sauf pour ce qui concerne les demandes A3 et A4 pour lesquelles je vous demande de me fournir des éléments d'ici le 20 juillet 2017. Pour les engagements que vous seriez amenés à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

 La cheffe de la division de Lyon de l'ASN, 
signé par Marie THOMINES
8